Winlogbeat与Sysmon数据传输至Security Onion故障排查求助

一、如何分享Winlogbeat配置文件（yml） #

• 打码敏感信息：将配置中的IP地址、认证密钥、路径等敏感内容替换为***
• 只贴核心段：重点分享winlogbeat.event_logs（日志采集规则）、output（输出配置）、setup（索引模板设置）这三部分，其余默认配置可省略
• 用折叠块压缩内容：如果核心段仍较长，用Markdown折叠标签包裹，示例：

二、问题排查步骤 #

1. Winlogbeat仅传输服务启动初始数据 #

• 检查ignore_older参数：在winlogbeat.event_logs配置中，若该值设得过小（如1h），会导致仅采集服务启动后指定时间内的日志，建议改为ignore_older: 0（不忽略旧日志）或调整为更大时间范围
• 确认服务运行状态：打开services.msc找到Winlogbeat服务，确保状态为“正在运行”且无频繁重启；也可执行命令sc query winlogbeat查看服务状态
• 查看本地错误日志：打开C:\Program Files\Winlogbeat\logs\winlogbeat.log，排查是否有权限不足、日志通道访问失败等报错（Winlogbeat需以管理员权限运行）
• 验证Sysmon日志生成：打开Windows事件查看器→应用程序和服务日志→Microsoft→Windows→Sysmon→Operational，确认是否有新日志持续生成

2. Sysmon数据无法导入Security Onion的Kibana #

• 检查输出配置：确认output.logstash或output.elasticsearch中的地址、端口与Security Onion的接收端一致（Security Onion通常用Logstash的5044端口）
• 排查Security Onion接收状态：在Security Onion服务器上查看Logstash日志（路径一般为/var/log/logstash/logstash-plain.log），确认是否有Winlogbeat的连接记录及报错信息
• 验证索引模板配置：确保Winlogbeat的setup段中已正确设置Sysmon的索引模板，示例：

setup.template.name: "sysmon"
setup.template.pattern: "sysmon-*"
setup.ilm.enabled: auto

• 检查Kibana索引模式：在Kibana中创建匹配Sysmon索引的模式（如sysmon-*），并将时间字段设置为@timestamp

内容的提问来源于stack exchange，提问作者iqworks